Shelf Planner <= 2.8.1 - Unauthenticated Information Exposure via Log Files

Resumen ejecutivo

La vulnerabilidad CVE-2025-11891 afecta a la extensión Shelf Planner en versiones hasta la 2.8.1, permitiendo la exposición no autenticada de información a través de archivos de registro. Se clasifica con una severidad media y un puntaje CVSS de 5.3.

Contexto técnico

Este fallo se origina en una falta de control de acceso adecuado, permitiendo que usuarios no autenticados accedan a información sensible almacenada en los archivos de registro del plugin. Esto crea una superficie de ataque que puede ser aprovechada por atacantes para obtener datos confidenciales.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de la información sensible de la empresa, lo que podría resultar en la pérdida de datos críticos y afectar la confianza de los clientes. Además, puede dar lugar a sanciones legales y daños a la reputación.

Vector de explotación

Los atacantes pueden acceder a los archivos de registro directamente a través de solicitudes HTTP maliciosas, sin necesidad de autenticación previa, lo que facilita la explotación de esta vulnerabilidad.

Mitigación recomendada

Actualizar el plugin Shelf Planner a la versión 2.8.2 o superior. Además, se recomienda revisar la configuración de permisos de los archivos de registro y aplicar medidas de seguridad adicionales para proteger la información sensible.

Señales de detección

Señales de riesgo incluyen accesos no autorizados a archivos de registro y patrones inusuales en los registros de acceso que indiquen intentos de explotación.

Alcance afectado

Las versiones afectadas son todas las versiones de Shelf Planner hasta la 2.8.1. Las instalaciones que no han actualizado a la versión 2.8.2 son vulnerables.